セキュリティについて

6. セキュリティについて
6-1. セキュリティの必要性
何を守るべきか(1)

データの保護
• 改竄されないように. 他人に見られないように.

計算機資源、ネットワーク資源
• 快適につかえるように.

悪用防止(目的外利用の禁止)
• 他人へ迷惑をかけないように.
• 自分が悪さをしない.(言うまでもない)
何を守るべきか(2)
ーデータの保護ー


金銭情報、プライバシー、命にかかわる情
報 → 社会的責任の問題
大学の場合
• 研究アイディア
• 試験問題、成績
• 人事、入札
→対策を怠ると「信頼の失墜」につながる
何を守るべきか(3)
ー計算機資源、ネットワーク資源ー
計算機資源、ネットワーク資源の安定した
利用
→使えなくなると「業務の停止」につながる

何を守るべきか(4)
ー悪用防止ー

平成12年不正アクセス禁止法施行
• 自ら不正していなくても第三者に不正利用されれ
ば、管理不足を理由に損害賠償に及ぶ恐れ.
• (自らの不正は論外.)

平成14年プロバイダ責任法施行
• 一定の条件のもと、プロバイダは免責
→ユーザに責任を問われるように
• 大学の場合は？
6-2. インターネットのセキュリ
ティｰ人的側面ｰ
どのようにして狙われるか(1)





電話でのなりすまし
建物への侵入
→最近は無線LAN
ネットワーク越しの侵入
通信内容の傍受,データの改竄
ウィルス
どのようにして狙われるか(2)
ｰパスワードクラックｰ



一般ユーザ権限で侵入し、rootの奪取
Brute Force(総当たり)攻撃
スニッファ(盗聴)
• 出張先からアクセスした時、端末に仕掛けがして
ありパスワードが盗まれた
• ノートPCを持ち込んでつなぎ、盗聴
[Brute Force(総当たり)攻撃に関して]
アルファベット(大文字小文字)と数字による
ランダムな8文字の組み合わせ
628 ← 15桁
The Oxford English Dictionary
59万語 ← 6桁
(しかし現在の計算機の性能だと8文字でもまだ不十分)
防衛(1)
ｰパスワード管理ｰ


定期的に変更
悪い例
• アカウントと同じ
• 誕生日や電話番号
• 英単語
• (空パスワードは論外)

良い例
• 他人が見たら無意味で、自分だけが絶対忘れない
比較的良い例
あかね → Madder
(初恋の人)
0527
(出会った日)
MrZfCcM0a5d2r7
Morozoff Cheese Cake
防衛(2)
ｰウィルス対策ｰ

メールの添付ファイルの形でやってくること
が多い
最近は知らぬ間にインストールされている
Webサーバ(IIS)も攻撃の的
ファイル共有にも注意
Webブラウザの設定もやり直す方が良い

『ウィルス対策ソフト』の活用！！



防衛(3)
ｰ管理(主にPC-Unix) ｰ

いらないサービスは切っておく
(適切な制限)

ログの解析
防衛(4)
ｰデータの防衛ｰ

ファイルのアクセス権を適切に設定
• Unixのアクセス権
• Windowsのファイル共有、アクセス権
ネット上のトラブル

公衆の面前での誹謗中傷は名誉毀損にな
る(実社会と同様にネット上でも)

サイバースペースって言えども仮想空間で
はない

簡単に手に入る”マスメディア”のようなもの
インターネットのエチケット(1)
ｰ異機種で構成されているｰ

使ってはいけない記号がある
• 半角カナ (ｱｲｳｴｵや｢｣･､｡)
• 機種依存文字(㍑㎡ ⅠⅡⅢ① ② ③ )
• 絵文字(i-mode、j-sky)
c.f. http://www.s-ichi.com/semi/bght/cara.htm
http://wwwsoc.nii.ac.jp/csj/learnedsociety/check/jisx0208.html
インターネットのエチケット(2)
ｰメールのエチケットｰ

チェーンメールを受け取っても転送しない.

著作権にも注意

ウィルスを送ってしまわないように対策
不正アクセスの禁止

他人のアカウントの使用
セキュリティホールを攻撃する行為

ツールを試してみるのももちろんダメ

• 例:ポートスキャンツール等
→ アタックの準備の第一歩と見られる
最後に

(技術上のセキュリティホールも問題だがむしろ)
セキュリティ意識の方が問題になり易い

実社会のモラルは当然インターネット上で
もあてはまる

インターネットの方が無意識のうちにモラ
ル違反を起こしやすい
6-3. インターネットのセキュリ
ティｰ技術的側面ｰ
どのようなサービスが狙われるか

セキュリティホールの見つかってるものが
狙われるケースが多い
• メールクライアント(Outlook, 他)
• Webブラウザ(IE, 他)
• Webサーバ(特にIIS. Apacheも.)
どのようにして狙われるか





ポートスキャン
バッファオーバーフロー
DoS(ping of Death等)
ウィルス →DDoS
Windows系サービス(ファイル共有)
ポートスキャン
被害者
攻撃者
Webはサービスしてるかな?
メールはサービスしてるかな?
! ツールを使ってサービスを総なめ
攻撃の準備 (情報集め)
バッファオーバーフロー攻撃の例
210.72.??.??? - - [28/Aug/2001:01:21:23 +0900] "GET /default.ida?XXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%
u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078
%u0000%u00=a
HTTP/1.0" 404 289
210.92.???.??? - - [28/Aug/2001:01:48:24 +0900] "GET /default.ida?XXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3
%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u007
8%u0000%u00=a HTTP/1.0" 404 289
DoS攻撃
攻撃者
小さなパケット
DoS=Denial of Service
被害者
DDoS攻撃
ある日突然
一斉攻撃
Outlookの既知の脆弱性
攻撃者
IIS
IISの既知の脆弱性
Outlook
ウィルス繁殖の１パターン
ファイル共有
DDoS=Distributed DoS
被害者
メールのセキュリティ(1)

ウィルス(開かなければただのASCII)

勝手に開いてくれるソフトの存在
「小さな親切、大きなお世話！」
• Outlook等のソフトの穴が狙い
• マクロウィルス
メールのセキュリティ(2)

通信の非秘匿性(誰でも簡単に盗聴可)

送信時は認証無し(詐称の危険)

受信時の認証パスワードの扱い
→公衆回線では暗号化しないとサーバ乗っ取り
につながる危険性
Webのセキュリティ
(クライアント)

アクセス制御(ユーザ認証)

送信データは盗聴の危険性(重要なものは
SSLを利用)
CookieやJAVAはセキュリティの観点か
ら言うと切った方が本当はbetter

アクセス制御(ユーザ認証)
通信状態の確認(SSLになってるかどうか)
Netscape6の場合
plain
ssl
Netscape4の場合(1)
plain
ssl
Netscape4の場合(2)
plain
ssl
IEの場合
plain
ssl
セキュリティの設定(例:Netscape4)
システムのセキュリティ
(Windows)

不要なサービスは停止
• OSによってはWebサーバ(IIS)がはじめから
起動されるようになっている
→格好の攻撃の的

共有に注意
• システムディレクトリ(C:\Windows等)は外
からアクセスできないようにする
ファイアウォールによるセキュリ
ティ(1)

ファイアウォールの手法
• NAT(IPマスカレード,NAPT,PAT)
• DMZ
Internet(WAN)
×
NAT
202.xx.yy.a
202.xx.yy.b
172.16.zz.s
senri
172.16.zz.t
saho
Firewall
172.16.zz.u
一般PC
内部ネットワーク(LAN)
Internet(WAN)
DMZ
公開サーバ類
Firewall
緩衝セグメント(DMZ)
内部ネットワーク(LAN)
ファイアウォールによるセキュリ
ティ(2)

ファイアウォールでまもれないもの
• Virus (Proxy型だと一部可能)
• アプリケーションの脆弱点
• DoS(回線占有), Buffer Overflowは一部OK
• 有害コンテンツ
• 人間の意識のレベル
RCNPの外部から使用できる
サービスについて
Internet(WAN)
ウェブ公開(ウェブサーバ、Kakudan)
SSH(senri, saho
SMTP(メールサーバ)
および mail-in のみ)
公開サーバ類
Firewall
緩衝セグメント(DMZ)
内部ネットワーク(LAN)
RCNPの内部から使用できる
サービスについて
Internet(WAN)
SSH, telnet, FTP,
メール送受信(ｻｰﾊﾞ経由)
公開サーバ類
News(ｻｰﾊﾞ経由)
X(申請ﾍﾞｰｽ)
Firewall
ウェブ閲覧(ﾌﾟﾛｷｼ経由)
緩衝セグメント(DMZ)
内部ネットワーク(LAN)
情報の収集元




JPCERT/CC
IPA セキュリティセンター
bugtraq-jp
Virus対策ソフトベンダー
(Symantec, Trend Micro 等)
6-4. インターネットのセキュリ
ティｰ理論的裏付けｰ
一方向ハッシュ関数


= メッセージダイジェスト
任意のデータから, そのデータ固有の短い
情報(ハッシュ値)を与える関数.
一方向ハッシュ関数の利用
メッセージ
メッセージ
送信
一方向ハッシュ関数
一方向ハッシュ関数
ハッシュ値
ハッシュ値
両者を
比較
公開鍵方式(RSA)による暗号化
受信者の
公開鍵
受信者の
公開鍵
使用
受信者の
秘密鍵
使用
通信
暗号化
平文送信者暗号文
復号化
暗号文受信者平文
暗号化と復号化に異なる鍵を使用
暗号通信プログラムの実際
sshのセッション
(1) Host-To-Host Authentication
(リモートホストの公開鍵を利用)
(2) Encryption
(ローカルホストで共通鍵作成)
(3) USER Authentication
(パスワード認証 or RSAユーザ認証)
(1)では公開鍵暗号方式, (2)以降は共通鍵暗号方式
sshの鍵交換
sshの鍵交換

Download Report